Personne ne laisse ses amis utiliser deux fois le même mot de passe

Réutiliser les mêmes mots de passe ? Voilà qui est fortement déconseillé. Et cette mise en garde n’a rien de nouveau.

Pourtant, pour de très nombreux utilisateurs, cette mauvaise habitude a la vie dure. Pour Troy Hunt, il s’agit même du problème majeur de la cyber sécurité aujourd’hui. La plupart des atteintes à la protection des données et des piratages sont en effet imputables à la réutilisation de mots de passe par les utilisateurs.

Dans un récent podcast, Jan Wikholm, Security Consultant chez chez F-Secure, s’est montré relativement pessimiste sur la question. Lorsque Janne Kauhanen, animateur du Cyber Security Sauna, lui a demandé si la situation allait s’améliorer, il a répondu : « Je déteste jouer les rabat-joie, mais soyons clairs : d’après nos données, la réponse est non. »

Si les utilisateurs réutilisent les mêmes mots de passe, explique Jan Wikholm, c’est parce que ces derniers sont devenus trop nombreux. Se souvenir de toutes ces suites de caractères aléatoires (ou de toutes ces longues phrases) devient une véritable corvée, qui s’ajoute au stress du quotidien. De nombreux professionnels décident donc de négliger la qualité (ils choisissent des mots de passe faciles à deviner) ou la quantité des mots de passe (ils choisissent un mot de passe complexe mais l’utilisent pour plusieurs sites).

Parfois même, ils font à la fois l’impasse sur l’une et l’autre : tous leurs comptes sont alors protégés par un même mot de passe, facile à deviner. Aujourd’hui, de nombreux mots de passe – ayant déjà été piratés – sont encore actifs et exploitables par les pirates.

« Ne jamais réutiliser les mêmes mots de passe » : cette recommandation, compte-tenu de son importance, mérite d’être répétée, encore et encore. Heureusement, si vous utilisez un gestionnaire de mots de passe, vous n’aurez aucune difficulté à suivre ce conseil.

Les gestionnaires de mots de passe sont comparables à des coffres-forts capables de stocker les clés de votre identité numérique. Ils peuvent générer à votre place des mots de passe complexes et uniques pour chaque site. Ils les stockent ensuite de manière sécurisée, tout en les gardant accessibles, localement ou via le cloud. Ils peuvent être instantanément utilisés pour se connecter à des sites Web, à des programmes, etc. Les différentes options de gestion des mots de passe – certaines gratuites, d’autres payantes – permettent de répondre aux besoins de la quasi-totalité des utilisateurs (les solutions de sécurité de F-Secure offrent des fonctionnalités de gestion des mots de passe pour les particuliers et les entreprises).

Jan Wikholm, lui aussi, utilise un gestionnaire de mots de passe. Il décrit ce type d’outil comme « le Saint Graal » de la sécurité sur internet. Il précise toutefois qu’il vous faudra créer un mot de passe particulièrement complexe pour protéger l’accès à ce gestionnaire. Il s’agira, certes, d’un nouveau mot de passe à retenir, mais ce dernier vous permettra d’oublier (presque) tous les autres. De quoi libérer de l’espace-mémoire…dans votre tête.

Même si vous utilisez un gestionnaire de mots de passe, vous devrez créer un ou deux mots de passe forts et uniques. Voici donc quelques conseils de Jan Wikholm en la matière :

• Faites appel à des stratégies différentes pour chaque mot de passe. Choisissez, pour un mot de passe, des paroles de chanson (« Letéléphonepleurequandellenevientpas »), et pour un autre, les paroles d’une comptine (« cestlamèrelustucruquiluiarépondu »), etc. De cette manière, les pirates seront dans l’incapacité de déduire un raisonnement applicable à vos autres mots de passe. Évitez de regrouper des éléments comme les mois et les années, les noms et les anniversaires, etc. Ces éléments sont faciles à deviner.
• La longueur l’emporte sur complexité. Votre mot de passe doit être composé d’au moins 14 caractères. Combinez donc les mots entre eux (même les mots communs) pour faire des phrases. Il est inutile de mettre la première lettre en majuscule : les hackers ne sont pas idiots.
• N’utilisez pas de mots du dictionnaire : supprimez ou ajoutez-leur des lettres, remplacez-les par des caractères spéciaux ou condensez-les pour les rendre non-reconnaissables par un ordinateur (letélpleureqdLnerevi1pa). D’autres suggestions et exemples sont disponibles ici.
• N’utilisez aucune variation du mot “mot de passe” (ou “password”).

Pour conclure, méfiez-vous des plateformes et services qui vous empêcheraient de respecter ces principes. Un site web n’a, par exemple, aucune raison de limiter le nombre de caractères pour un mot passe. Pensez également à utiliser, dans la mesure du possible, l’authentification multifactorielle. Celle-ci est essentielle à la protection de votre adresse e-mails (qui sert à la récupération des mots de passe pour la plupart de vos comptes) et de vos autres comptes-clés.